個人情報保護

AI開発発注の失敗図鑑｜部門ごとの野良AI・シャドーAIが乱立しガバナンスが分裂する失敗

2026年6月10日21分で読める

QUICK CHECK

本文を読みながら、自社で進めるべきか、相談前に何を整理するかを確認できます。

5分で自社の状況を診断する

GXO COLUMN

AI・自動化

結論：シャドーAIは禁止では消えない。公式ツールの利便性と全体の可視化でしか統制できない

正式に発注・導入したAIが軌道に乗るころ、もう一つの問題が静かに進行している。部門や個人が会社の関知しないところで個別に契約・利用する生成AIツール——いわゆる野良AI・シャドーAIの乱立である。部門ごとに別々のツールが使われ始めると、何を入力してよいかのルールも、利用ログも、責任の所在もばらばらになり、全社のAIガバナンスが分裂する。

シャドーAIの本質は従業員の悪意ではなく、「公式ツールが現場の用途に届いていない」という構造問題である。
禁止一辺倒は利用を地下化させ、把握できないシャドーAIをかえって増やす。
個人情報保護法の改正案（2026年4月7日閣議決定）で課徴金制度が新設され、取り扱いを説明できる体制の重要性が全企業で上がる。シャドーAIの放置はその説明を不可能にする。
部門が個別契約したツールでも、個人データの取り扱いの委託に当たる場合は委託先監督義務（個人情報保護法第25条）が会社に残る。
統制は、許可プロセス・公式ツールの利便性確保・部門ニーズの吸い上げ・定期棚卸しの四点セットで設計する。

この連載は「AI開発発注の失敗図鑑」として、発注側がつまずきやすい論点を一つずつ分解してきた。導入プロジェクトを誰が率いるかという導入時のガバナンスは第23回の推進体制・オーナー不在で、発注対象のシステムが外部規制に適合しているかは第15回の規制・ガイドライン準拠で扱った。最終回の本稿はその先、全社展開後の「従業員一人ひとりの利用行動」の統制を扱う。導入したAIがどれだけ適法・適切に設計されていても、従業員が会社の知らないツールに機密を入力していれば、ガバナンスは成立しない。

MANUFACTURING DX

Excel限界から受発注システムへ、同規模の概算は？

中小製造業の概算費用・導入期間・役割分担マトリクスをその場で確認。要件整理テンプレも無料提供します。

製造業DXの概算を見る

なぜシャドーAIが乱立するのか

公式ツールが使いにくいほどシャドーAIは増える

シャドーAIが増える最大の要因は、公式に用意されたツールが現場の用途に届いていないことである。機能が制限されている、応答が遅い、自部門の業務に合わない、利用申請が面倒——こうした不便が積み重なると、現場は成果を出すために手元で契約できるツールへ流れる。生成AIはブラウザとクレジットカードがあれば数分で使い始められ、「勝手に導入する」ハードルが従来のシステムより圧倒的に低い。シャドーAIの増加は現場の怠慢ではなく、公式の供給不足を示すシグナルとして読むべきである。

禁止一辺倒は利用を地下化させる

リスクを恐れて「業務での生成AI利用を原則禁止」とする対応は、一見安全に見えて逆効果になりやすい。禁止しても業務上の必要は消えないため利用は申告されない形で続き、見えなくなった利用には教育もログも契約確認も届かない。つまり禁止で消えるのは利用ではなく報告である。統制の出発点は「禁止して見えなくする」ことではなく「申告しても不利にならない形で見えるようにする」ことに置くべきである。

部門ごとの個別最適が全社ガバナンスを分裂させる

部門が個別にツールを契約すると、契約条件・入力ルール・ログの設定を部門ごとに独自に決めることになる。正式導入したAIと並べると、分裂は次のように整理できる。

観点	正式導入したAI	乱立したシャドーAI
入力ルール	全社の方針で入力禁止情報を定義	部門・個人の判断に依存し解釈が割れる
利用ログ	取得・保存・参照権限を設計済み	取得されない、または会社が参照できない
契約条件	学習利用の扱い・保存・削除を確認済み	個人約款のまま誰も確認していない
責任の所在	運用責任者と停止条件が明文化	問題発生まで誰の責任か決まっていない
インシデント対応	報告経路と初動手順がある	発覚自体が遅れ、経路もない

この状態で漏えいや誤回答が起きると、会社は「どのツールに誰が何を入力したか」を再構成できない。問題はツールの数ではなく、ルール・ログ・責任という統制の三要素が分断されることにある。

規制の側から見る：シャドーAIは説明不能リスクそのものである

個人情報保護法改正——課徴金時代に問われるのは「説明できる体制」

2026年（令和8年）4月7日、政府は「個人情報の保護に関する法律等の一部を改正する法律案」を閣議決定した。最大の焦点は課徴金制度の新設だが、射程を正確に押さえたい。課徴金の対象は「個人情報を漏えいしたら直ちに」ではなく、悪質・大規模な違反行為（不適正利用、適正取得違反、第三者提供制限違反など）によって財産上の利益を得た場合が中心に設計されている。施行も公布の日から2年を超えない範囲で政令により定められ、改正法案は国会審議中で内容・施行時期は変更される可能性がある。

射程が限定的でも備えの方向は明確で、自社の取り扱いが違反に該当しないことを示すには「誰が・いつ・どのデータを・どう扱ったか」を説明できる体制が要る。どの部門がどのツールに何を入力したかを会社が把握していないシャドーAI状態は、それ自体が説明不能リスクである。改正の全体像は個人情報保護法改正（課徴金導入）の解説で扱っている。

委託先監督義務は「会社が知らない契約」にも及ぶ

個人情報保護委員会は、生成AIサービスの利用に関する注意喚起を令和5年6月2日に公表している。要点は、個人情報取扱事業者が生成AIにプロンプトとして個人情報を入力する場合、あらかじめ特定した利用目的（個人情報保護法第17条）の達成に必要な範囲内であることを十分に確認すべきという点で、入力した個人データが提供事業者側で学習に利用されないか等の確認も論点に挙げられている。そして、生成AIサービス提供者が個人情報の取り扱いの「委託先」に位置づけられる場合、発注側には必要かつ適切な監督義務（同法第25条）が残る。

この義務は会社が正式に契約したツールに限られない。部門が勝手に契約したツールでも、業務として個人データを取り扱わせている以上、監督の論点から逃れられない。誰がどのサービスに何を入力しているかを把握できていない状態は、それ自体がガバナンス上のリスクになる。

AI事業者ガイドライン第1.2版は利用者側の責務を整理している

総務省・経済産業省が公表するAI事業者ガイドラインは、最新が第1.2版（令和8年3月31日公表）で、AIに関わる主体を「AI開発者」「AI提供者」「AI利用者」に分けて整理している。生成AIツールを業務で使う企業の多くは「利用者」に当たり、同ガイドラインは利用者側にもログの記録・保存および教育・リテラシー向上の重要性を示している。シャドーAIは、このログと教育が届かない領域を組織の中に作る。従業員教育の設計は第27回：利用者リテラシーの失敗で扱ったが、教育は会社が把握しているツールにしか効かない。可視化と教育は一体で設計する必要がある。

FREE DOWNLOAD

AI導入チェックリスト（PoC 失敗要因 10項目）

情シス部門が PoC 前に押さえるべき失敗要因を10項目に整理した無料チェックリスト。

30分で相談するチェックリストをDL

統制の実務：許可・利便・吸い上げ・棚卸しの四点セット

統制の実務は、禁止リストを増やすことではなく、「使ってよい経路」を太くして全体を見えるようにすることに尽きる。次の四点をセットで設計する。

施策	内容	欠けたときに起きること
許可プロセス	使いたいツールを申請し、データ種別・契約条件・ログの観点で審査して許可リストに載せる	標準処理期間がないと審査待ちが滞留し、地下化が再発する
公式ツールの利便性確保	用途別に公式の選択肢を整え、現場の主要業務で実際に使える状態を保つ	公式が不便なままだと、ルールだけ厳しくしても利用は外へ流れる
部門ニーズの吸い上げ	シャドーAIの発見を処罰ではなく要望として扱い、公式化の候補に回す窓口を置く	発見が処罰に直結すると申告が止まり、可視化が崩れる
定期棚卸し	部門ごとの利用ツール・契約・入力データ種別を洗い出し、許可リストと突合する	許可リストが実態と乖離し、形骸化する

先に棚卸しと許可プロセスだけを整えても、公式ツールが不便なままなら申請は形式化し、実利用は再び地下に潜る。利便性の確保と吸い上げは「需要」側に応える施策であり、ここに投資しない統制は長続きしない。

棚卸しは初回だけでなく周期を決めて回す必要がある。初回30日で部門ヒアリングと経費データの突合、60日で許可リストと禁止入力情報の改定、90日でログ保存・契約条件・委託先監督の抜け漏れをレビューする。以後は四半期ごとに新規ツール、利用停止ツール、入力データ種別、契約主体、ログ取得状況の5項目を確認する。年1回の全社棚卸しだけでは、ブラウザで数分で始められる生成AIツールの増殖速度に追いつかない。

社内AI方針6項目をシャドーAI前提で運用する

利用ルールを文書化する骨格には、社内AI方針の6項目——対象範囲（使用を認めるAIツール一覧と、部門・業務ごとの適用範囲）、入力禁止情報、レビュー義務、ログ保存、停止条件、更新タイミング——が使える。「対象範囲」がまさに許可リストであり、「更新タイミング」が棚卸しのサイクルに当たる。6項目の中身は社内AI方針の作り方で詳述している。方針という紙の対応に加え、機密や個人情報の入力を技術的に防ぐ仕組みは生成AIセキュリティ対策で併せて設計したい。

点検チェックリスト

部門・個人が契約・利用している生成AIツールを全社で棚卸ししたか
許可リストと、申請・審査プロセス（標準処理期間つき）があるか
許可ツールの契約で、入力データの学習利用の扱い・保存・削除を確認したか
個人データを入力しうるツールで、委託先監督（法第25条）の体制を整理したか
入力禁止情報が具体例で示され、部門ごとに解釈が割れていないか
利用ログの保存と参照権限が、許可ツール全体で統一的に設計されているか
公式ツールが現場の主要用途をカバーし、足りない用途を吸い上げる窓口があるか
シャドーAIを発見したときの扱い（処罰ではなく公式化の検討）を決めているか
方針・許可リストの見直しサイクルが運用されているか

なお、全社展開そのものを段階設計する論点は第22回：段階的ロールアウトで扱った。展開の各段階で公式の供給と現場の需要のずれを観測し、シャドーAIが増える前に公式側を育てるのが理想形である。

最終回の総括：30の失敗類型が指す一つの結論

本連載は全30回をかけて、AI開発発注の失敗を企画から運用まで分解してきた。PoCで終わる企画段階の失敗に始まり、曖昧な見積と契約、データとセキュリティの軽視、検収・運用・コストの設計不足、推進体制と説明可能性、そして本稿の利用統制まで、30の類型に共通する結論は一つである。AIの失敗のほとんどは技術ではなく、発注側が「決めるべきことを決めずに発注した」設計の問題であり、発注前に決めなかったことは導入後に形を変えて必ず噴き出す。逆に言えば、失敗の型を知り発注前に一つずつ潰せば、成功確率は自分たちで上げられる。全30類型は特集トップから通読でき、どの類型から点検すべきか迷う場合はAI導入支援で現状整理から相談できる。

実務判断のポイント

この記事を読むべきなのは、経営者、情シス、業務責任者、発注担当です。単に情報を把握するだけでなく、要件定義、RFP作成、見積比較、レガシー刷新、業務システム再構築の相談に進めるべきかを判断するための材料として整理する必要があります。

GXOが重視するのは、話題性の高さよりも「自社の業務、データ、権限、予算、運用責任にどう影響するか」です。AI開発発注の失敗図鑑｜部門ごとの野良AI・シャドーAIが乱立しガバナンスが分裂する失敗に関する検討では、担当者だけで判断を閉じず、経営、現場、情シス、外部パートナーの役割を早い段階で分けることが重要です。

放置した場合と整備した場合の違い

観点	放置した場合	整備した場合
業務影響	属人的な判断が増え、対応の優先順位がぶれやすい	影響範囲、期限、責任者を決めて進められる
投資判断	ツール導入や外注費だけが先行し、効果測定が曖昧になる	売上、工数削減、リスク低減の指標にひも付けられる
現場運用	例外処理や承認フローが残り、定着しにくい	権限、ログ、教育、改善サイクルまで設計できる
経営報告	問題が発生してから説明資料を作ることになる	月次で状況、課題、次の打ち手を説明できる

導入・改善前のチェックリスト

対象業務、対象部門、対象データを明文化しているか
現在の課題を、売上機会、原価、工数、リスクのいずれかに分解しているか
既存システム、SaaS、Excel、手作業の依存関係を棚卸ししているか
例外処理、承認、差し戻し、監査証跡まで確認しているか
社内で判断できる範囲と外部支援が必要な範囲を分けているか
初期費用だけでなく、保守、運用、教育、改善費用を見積もっているか
成功指標を、問い合わせ数、商談数、削減時間、停止リスクなどで定義しているか
実装後の責任者、更新頻度、レビュー会議の持ち方を決めているか
セキュリティ、法務、個人情報、契約条件の確認ポイントを洗い出しているか
既存の問い合わせ、商談、障害、運用ログから優先順位を決めているか
経営判断に必要な資料を1枚で説明できる状態にしているか
次の90日で検証する範囲と、やらない範囲を明確にしているか

GXOの見解

システム開発の成否は開発会社選びの前に、業務要件、既存データ、運用責任、段階移行をどこまで整理できるかで決まる。

GXOは見積比較だけでなく、発注前の論点整理とRFP設計が手戻りと追加費用を減らすと見る。

GXOが提供できる価値は、業務整理、要件定義、RFP、開発、保守、レガシー刷新まで接続できる。ことです。記事のテーマを単なる情報収集で終わらせず、相談、診断、要件定義、実装、運用改善に接続することで、要件整理から開発、保守、段階移行ロードマップへ接続。さらに、標準ヒアリングと既存診断を使い、発注前相談から開発案件へ展開。

相談につながる進め方

現在の業務、データ、ツール、担当者を棚卸しする
売上拡大、工数削減、リスク低減のどれに効くテーマかを決める
初期対応、90日以内の改善、半年以上の投資を分ける
必要な社内体制、外部支援、予算、セキュリティ確認を整理する
小さく検証し、効果測定後に本番化や横展開を判断する

よくある質問

Q1. シャドーAIは全面禁止すればなくならないのではないか。

なくならない。禁止しても業務上の必要は消えないため、利用は申告されない形で続き、教育・ログ・契約確認が届かなくなる。禁止で消えるのは利用ではなく報告である。許可プロセスと公式ツールの利便性確保で「使ってよい経路」を太くし、利用が見える状態を保つほうが安全である。

Q2. 部門が個別に契約した生成AIツールの問題でも、会社全体の責任になるのか。

なりうる。生成AIサービス提供者が個人情報の取り扱いの委託先に位置づけられる場合、必要かつ適切な監督義務（個人情報保護法第25条）は会社に残る。部門が独自に契約したツールでも、業務として個人データを取り扱わせている以上この論点から逃れられず、把握していなかったこと自体がリスクとして評価される。

Q3. 個人情報保護法改正の課徴金は、シャドーAIからの漏えいに直ちに適用されるのか。

直ちにではない。改正案の課徴金は、悪質・大規模な違反行為によって財産上の利益を得た場合が中心で、施行も公布から2年を超えない範囲とされ、法案は国会審議中である。ただし該当しないことを示すには取り扱いを説明できる体制が要り、シャドーAIの放置はその説明を不可能にする。射程が限定的でも備えは全企業に必要である。

Q4. シャドーAIの棚卸しは何から始めればよいか。

申告しても不利にならない設計から始める。発見を処罰に直結させると申告が止まるため、「教えてくれれば公式化を検討する」という吸い上げの窓口として棚卸しを位置づける。そのうえで部門ヒアリングや経費・契約情報との突合で利用ツールを洗い出し、審査して許可リストに反映し、定期的な見直しサイクルに乗せる。

発注前チェックリスト（全30項目・無料）：本連載の30類型を1枚で点検できるチェックリストを無料ダウンロードできます。発注前の社内確認・稟議の添付資料にご利用ください。シャドーAIの統制は、禁止の通達一枚では完結しない。利用実態の棚卸し、許可プロセスと方針の設計、公式ツールの整備までを一体で進める必要がある。全社のAI利用統制でお困りの場合は、無料相談から利用実態の整理を一緒に始めていただきたい。連載全30回が、貴社の次のAI投資を失敗図鑑の「31例目」にしないための備えになれば幸いである。